Kto widzi którą fakturę w firmie a RODO
Faktury kosztowe niosą dane, których nie każdy pracownik ma widzieć: kwoty, kontrahentów i warunki handlowe. Dostęp do dokumentu powinien więc wynikać z roli człowieka w pracy nad nim, a nie z tego, że ma konto w programie. To porządek w firmie, a jednocześnie wsparcie zgodności z RODO.
Problem: domyślnie każdy widzi wszystko
W prostych narzędziach osoba z dostępem do modułu faktur widzi całą bazę dokumentów firmy. Stąd bierze się ryzyko: wyciek informacji o kosztach, o wynagrodzeniach ukrytych w fakturach za usługi i o warunkach uzgodnionych z dostawcami. W obiegu faktur kosztowych trzeba więc rozstrzygnąć, kto ma wgląd w który dokument.
Od czego zależy dostęp do dokumentu
Dostępu nie nadaje się fakturze po fakturze. Wynika on z tego, co dana osoba robi w obiegu, oraz z tego, za jakie koszty odpowiada:
- bieżący krok obiegu, czyli osoba, rola albo grupa, do której dokument właśnie trafił,
- wcześniejsza decyzja, czyli każdy, kto już na tej fakturze działał,
- dodanie dokumentu, gdy faktura powstała z pliku wgranego poza KSeF,
- własność miejsca powstawania kosztów, do którego faktura została przypisana,
- własność projektu, do którego faktura została przypisana,
- dział z włączoną widocznością, gdy pracuje albo pracował na niej ktoś z tego działu.
Obok tego stoi rola obejmująca wszystkie dokumenty firmy, którą dostają właściciel i księgowość, oraz osobny dostęp do rejestru sprzedaży.
Konsekwencja jest wygodna: firma ustawia obieg raz, a nowa osoba w zespole przejmuje zakres swojego stanowiska od razu, bez nadawania uprawnień dokument po dokumencie.
Niewidoczność, a nie filtr
Dokument spoza zakresu nie jest ukryty, tylko niedostępny. Nie pojawia się na liście, w wyszukiwarce ani w podglądzie, więc nie da się do niego dotrzeć przez zmianę filtra ani przez adres.
Zasada minimalizacji dostępu w RODO
RODO wymaga, żeby dostęp do danych osobowych ograniczyć do niezbędnego minimum. Zakres wynikający z udziału w obiegu realizuje tę zasadę wprost: pracownik widzi dokumenty, nad którymi pracuje, i te, za których koszt odpowiada. O tym, gdzie fizycznie leżą dane i jak są chronione, piszemy w tekście o bezpieczeństwie danych w KSeFobieg.
Sprawdzenie przy samym dokumencie
Przy każdej fakturze stoi lista osób, które ją widzą, razem z powodem dostępu, oraz osobna lista tych, które jej nie widzą. Wykazanie zgodności nie wymaga więc analizy ustawień, bo odpowiedź na pytanie „kto ma wgląd w ten dokument" stoi przy dokumencie.
Dostęp a akceptacja
Zakres łączy się z akceptacją: osoba zatwierdzająca koszt pracuje na dokumentach ze swojego zakresu, a nie na całym rejestrze firmy. Ma to szczególne znaczenie w biurach rachunkowych, gdzie jeden zespół obsługuje wiele firm, a dane klientów muszą pozostać od siebie odseparowane.
Dostęp do faktur w KSeFobieg
W KSeFobiegu dostęp do dokumentu wynika z obiegu ustawionego przez firmę oraz z odpowiedzialności za miejsce powstawania kosztów i projekt. Dzięki temu „kto co widzi" jest skutkiem tego, jak firma pracuje, a nie osobnym zadaniem administratora.